使用飞书实现 Amazon Quick 统一单点登录（Web + Desktop）
内容提要
本文介绍如何用飞书实现Amazon QuickSight统一单点登录。飞书授权非标准OIDC，无法直接对接QuickSight Desktop，故开源方案用Lambda和API Gateway构建适配器，KMS签发id_token，Cognito为身份枢纽，支持Web和Desktop登录。用户一次飞书授权即可访问QuickSight，部署简单，安全合规。
延伸解读
为什么飞书不能直接对接 QuickSight Desktop
QuickSight Desktop 要求 IdP 符合标准 OIDC 协议，包括提供发现文档、JWT 格式的 id_token、JWKS 公钥端点以及标准 claims。飞书开放平台提供的是 OAuth 2.0 风格的授权和私有用户信息 API，缺少 OIDC 的“身份令牌”层，因此无法直接作为 IdP。理解这一差距有助于评估其他非标准身份源对接时的改造工作量。
KMS 签名密钥的设计价值
方案使用 KMS 非对称密钥签发 id_token，私钥全程不离开 KMS，通过 kms:Sign 和 kms:GetPublicKey 动态生成 JWKS。这避免了在代码或环境变量中保存签名密钥，降低了密钥泄露风险。对于需要自建 OIDC 适配器的场景，这种设计提供了安全且可审计的密钥管理方式。
sub 声明选择与用户身份稳定性
飞书用户有 open_id 和 union_id 两种标识，方案默认使用 union_id 作为 OIDC sub，因为它在开发商维度唯一，即使更换飞书应用也能保持用户身份稳定，避免 Cognito 重新预置用户。但该选择一经部署不可逆，规划阶段需谨慎决定，否则后续更换应用可能导致用户身份映射失效。
部署与运维注意事项
部署需注意飞书权限开通、重定向 URL 回填、QuickSight 管理配置等步骤。安全方面，API Gateway 默认公开，生产环境建议配置来源 IP 限制或 WAF；Cognito refresh token 有效期内不会回飞书重新校验，员工离职时应缩短有效期或禁用用户。此外，QuickSight 联邦角色默认权限较大，建议按最小权限收敛。
Q&A
飞书授权登录为什么不能直接作为 Amazon QuickSight Desktop 的 IdP？
因为飞书开放平台的网页授权登录不是标准 OIDC 协议，缺少 OIDC 的发现文档、JWT 格式的 id_token、JWKS 端点以及标准 claims 和 scope 语义，无法满足 QuickSight Desktop 作为标准 OIDC 公共客户端的要求。
如何用飞书实现 Amazon QuickSight 的统一单点登录？
通过开源的全 Serverless 参考实现，构建一个飞书 OIDC 适配器（Lambda + API Gateway），将飞书授权登录包装成标准 OIDC IdP，并以 Cognito 作为身份枢纽，QuickSight Web 和 Desktop 都对接 Cognito，实现一次飞书授权即可访问 QuickSight。
在飞书 OIDC 适配器中，id_token 是如何签发的？
适配器收到 Cognito 转来的授权码后，调用飞书接口换取 user_access_token 并读取用户信息，然后组装成标准 OIDC claims，使用 AWS KMS 的 RSA 非对称密钥执行 kms:Sign 签出 JWT 格式的 id_token。签名私钥全程不离开 KMS，JWKS 端点通过 kms:GetPublicKey 动态导出公钥。
为什么选择 union_id 作为 OIDC 的 sub 声明？
因为飞书用户有 open_id（应用内唯一）和 union_id（开发商维度唯一）两种标识，使用 union_id 作为 sub 可以保证即使日后更换飞书应用，用户身份依然稳定，不会导致 Cognito 重新预置所有用户。
QuickSight Desktop 强制携带 offline_access scope 导致 Cognito 报错，如何解决？
适配器内置了一个 /cognito/* 透明代理，剥离 offline_access 后再转发给 Cognito 的授权/令牌端点，QuickSight Desktop 的 extension 配置指向这个代理端点即可。
QuickSight Web 端是如何通过飞书实现登录的？
Web 登录门户对 Cognito User Pool 跑标准 OIDC 授权码流，校验 id_token 拿到邮箱后，调用 sts:AssumeRole 扮演 QuickSight 联邦角色并打上 Email 会话标签，再通过 AWS 联邦登录端点换取控制台会话，最后 302 跳转进入 QuickSight Web。
部署这个飞书 SSO 方案需要哪些前提条件？
需要飞书自建应用并开通 contact:user.email:readonly 和 contact:user.employee:readonly 权限，Amazon QuickSight Enterprise 账户且身份类型为 IAM federation，以及 Node.js 18+、Python 3.12+、AWS CDK v2。
该方案在安全方面有哪些考虑？
签名密钥由 KMS 管理且私钥不可导出；API Gateway 默认公开但可通过 allowedCidrs 限制来源 IP 或挂载 WAF；QuickSight 联邦角色默认授予 quicksight:* 但建议按最小权限收敛；会话上限 1 小时，Cognito refresh token 有效期内不会回飞书重新校验，离职时应缩短有效期或禁用用户；项目已集成 cdk-nag 并通过全部检查。
